• IT-Karriere:
  • Services:

Kernel: Security-Entwickler fühlt sich von Linux-Community zermalmt

Der Security-Entwickler Alexander Popov berichtet auf dem Open Source Summit von seiner Zusammenarbeit mit der Linux-Kernel-Community. Er fühle sich dabei wie zwischen Mühlsteinen zermalmt. Das liege wohl auch daran, dass die Community zwischen normalen Menschen und Security-Leuten trenne.

Artikel veröffentlicht am ,
Alexander Popov sucht Sicherheitslücken in Linux.
Alexander Popov sucht Sicherheitslücken in Linux. (Bild: The Linux Foundation)

Sicherheitspatches und generelle Verbesserungen am Linux-Kernel, die vor bestimmten Angriffen schützen sollen, werden von der Linux-Community nicht anders behandelt als alle anderen Änderungen am Kernel auch. Das ist vor allem auf eine generelle Einstellungen der Kernel-Betreuer zurückzuführen - allen voran Linux-Projektgründer und -Leiter Linus Torvalds. Der Sicherheitsexperte und Kernel-Entwickler Alexander Popov hat dies auf dem Open Source Summit in Edinburgh so kommentiert, dass er sich dabei jedoch wie zwischen Mühlsteinen zerdrückt fühle.

Stellenmarkt
  1. FACKELMANN GmbH + Co. KG, Hersbruck bei Nürnberg
  2. Stadtwerke München GmbH, München

Popov führt das unter anderem auch darauf zurück, dass es in der Kernel-Community einen Unterschied gebe zwischen "normalen Menschen und Security-Entwicklern". Diese Trennung führe immer wieder zu tiefgreifenden Problemen und Auseinandersetzungen in Bezug auf die Herangehensweise bei der Linux-Entwicklung. Dass die Sicherheitsentwickler des Patch-Sets Grsecurity oder auch die Beteiligten des Kernel Self Protecting Project (KSPP) immer wieder vom Rest der Kernel-Community kritisiert werden, nimmt Popov inzwischen offenbar aber resigniert hin. "Das ist halt unser Leben, und das ist okay", sagt Popov.

Monatelange Arbeit an einer Funktion

Der Entwickler arbeitet für die Sicherheitsexperten von Positive Technologies, die vor allem im vergangenen Jahr teilweise gravierende Sicherheitslücken in Intels ME aufgefunden haben. Popov selbst sucht eigentlich nach möglichen Sicherheitslücken in Linux und nach Wegen, diese auszunutzen. Seit April 2017 versucht Popov darüber hinaus aber auch, eine der Sicherheitstechniken von Grsecurity so aufzuarbeiten, dass diese in den sogenannten Mainline-Kernel eingepflegt werden kann, also den Hauptzweig der Linux-Entwicklung.

Diese Arbeiten sind immer noch nicht offiziell abgeschlossen, auch wenn sich diese inzwischen absehbar dem Ende nähern. Der Code von Popov befindet sich inzwischen in Linux-Next und sollte mit der kommenden Version 4.20 eingepflegt werden, dessen Entwicklungsphase gerade erst offiziell beginnt. Der Weg dahin war aber alles andere als einfach und Popov war eigenen Angaben zufolge mehrmals kurz davor, die Arbeiten daran aufzugeben.

Als Popov im vergangenen Jahr glaubte, die Patches seien inzwischen soweit gediehen, dass diese eingepflegt werden könnten, ist der Code von Torvalds "niedergebrannt" worden, wie Popov in einem Vortrag beim Linux Security Summit sagte. Nach dieser Interaktion habe sich der Entwickler "für mehrere Wochen emotional tot" gefühlt. Nur mit Unterstützung seiner Frau habe Popov dann daran arbeiten können, die in den E-Mails geäußerten persönlichen Angriffe von der technischen Kritik trennen zu können, um sich weiter auf seine Arbeit zu konzentrieren.

Wenig Wertschätzung und große Irritationen

Popov geht aber weiter davon aus, dass seine Arbeit und die anderer Security-Entwickler nicht wertgeschätzt werde. Möglicherweise seien die Fortschritte zum Härten des Kernels auch eine große Irritation für Torvalds und andere, sodass damit auch die Wahrscheinlichkeit steige, dass die Patches dafür schlicht abgelehnt würden. Der Grund dafür, dass diese Irritation entsteht, könnte laut Popov sein, dass die Security-Entwickler eben von den normalen Leuten getrennt sind, wie er den Rest der Kernel-Community nennt.

Um diese Spaltung zu überwinden, schlägt der Sicherheitsexperte vor, möglicherweise mit einer Roadmap zu arbeiten, die die Pläne für das Härten des Kernels besser darstellen und so für andere leichter nachvollziehbar machen. Außerdem hätte Popov gern eine Art Auflistung von akzeptierten Verhaltensweisen, die sich die normalen Maintainer von den Sicherheitsentwicklern wünschen. Auch damit sollen die Irritationen offenbar vermieden oder wenigstens verringert werden.

Noch glaubt Popov zwar, dass dieses Vorgehen helfen könnte, ist sich aber nicht sicher, ob dies auch tatsächlich umsetzbar ist. Wahrscheinlicher sei wohl eher, dass große Unternehmen und Organisationen die Umsetzung bestimmter Sicherheitsfunktionen einfordern, was in Teilen bereits passiert. Bis sich die Situation von Popov und seinen Mitstreitern grundsätzlich ändert, genießt er noch die "Freude am Kampf", wie er selbst sagt. Das klingt glücklicherweise nicht so, als hätte Popov seine Motivation an der Arbeit verloren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Samsung Xpress SL-C480 Farb-Laserdrucker für 149,99€, Asus VivoBook 17 für 549,00€, HP...
  2. (u. a. Red Dead Redemption 2 für 24,99€, Star Wars Jedi: Fallen Order für 44,99€, Borderlands...
  3. (u.a. Lenovo Tab E10 für 99,00€, Huawei MediaPad T5 für 179,00€)

janoP 29. Okt 2018

Persönlich kenne ich keinen der Beteiligten, ich schätze es von außen aber so ein, dass...

demon driver 27. Okt 2018

Es wurde also etwas in den Kernel einzubringen versucht, was behebbare Mängel in der...

mnementh 26. Okt 2018

Was denn, Popov hat durch die Diskussion eine bessere Lösung gefunden. Und dann war da...

mnementh 26. Okt 2018

Ich unterstütze diese kompromisslose Haltung. Nur was hat das mit dem Artikel zu tun...

azeu 26. Okt 2018

Beim "Verteidigen zivilisierter Normen" - wie Du es so schön ausdrückst - kommt es...


Folgen Sie uns
       


Datenbasierte Archäologie im DAI

Idai World ist ein System, um archäologische Daten aufzubereiten und online zugänglich zu machen. Benjamin Ducke vom Deutschen Archäologischen Institut stellt es vor.

Datenbasierte Archäologie im DAI Video aufrufen
Jobs: Spielebranche sucht Entwickler (m/w/d)
Jobs
Spielebranche sucht Entwickler (m/w/d)

Die Hälfte aller Gamer ist weiblich. An der Entwicklung von Spielen sind aber nach wie vor deutlich weniger Frauen beteiligt.
Von Daniel Ziegener

  1. Medizinsoftware Forscher finden "rassistische Vorurteile" in Algorithmus
  2. Mordhau Toxische Spieler und Filter für Frauenhasser

Echo Dot mit Uhr und Nest Mini im Test: Amazon hängt Google ab
Echo Dot mit Uhr und Nest Mini im Test
Amazon hängt Google ab

Amazon und Google haben ihre kompakten smarten Lautsprecher überarbeitet. Wir haben den Nest Mini mit dem neuen Echo Dot mit Uhr verglichen. Google hat es sichtlich schwer, konkurrenzfähig zu Amazon zu bleiben.
Ein Test von Ingo Pakalski

  1. Digitale Assistenten Amazon verkauft dreimal mehr smarte Lautsprecher als Google
  2. Googles Hardware-Chef Osterloh weist Besuch auf smarte Lautsprecher hin
  3. Telekom Smart Speaker im Test Der smarte Lautsprecher, der mit zwei Zungen spricht

Cloud Gaming im Test: Leise ruckelt der Stream
Cloud Gaming im Test
Leise ruckelt der Stream

Kurz vor Weihnachten werben Dienste wie Google Stadia und Playstation Now um Kunden - mit noch nicht ganz perfekter Technik. Golem.de hat Cloud Gaming bei mehreren Anbietern ausprobiert und stellt Geschäftsmodelle und Besonderheiten vor.
Von Peter Steinlechner

  1. Apple und Google Die wollen nicht nur spielen
  2. Medienbericht Twitch plant Spielestreaming ab 2020
  3. Spielestreaming Wie archiviert man Games ohne Datenträger?

    •  /